Azure AD服务主体用Terraform查询AD组遇403权限不足问题

从你的报错信息和配置来看，核心问题是你添加的API权限没有完成管理员同意流程，导致服务主体实际上没有获得读取目录数据的权限。下面是具体的排查和解决步骤：

1. 完成管理员同意是关键 #

AAD Graph的Read directory data权限属于需要全局管理员或目录管理员授予同意的权限类型，仅仅在应用注册里添加权限是不够的，必须完成同意流程才会生效：

手动操作方式 #

登录Azure Portal，按照以下步骤操作：

• 进入「Azure Active Directory」→「应用注册」→找到你的服务主体对应的应用
• 切换到「API权限」页面
• 点击页面顶部的「授予管理员同意」按钮，确认授权后等待几分钟让权限生效

Terraform自动化方式（需高权限账号） #

如果想通过Terraform完成同意，可以使用azuread_application_app_role_assignment资源，但执行这个操作的账号需要拥有全局管理员权限：

resource "azuread_application_app_role_assignment" "read_directory" {
  application_id = azuread_application.app.id
  principal_id   = azuread_service_principal.app.id
  role_id        = "5778995a-e1bf-45b8-affa-663a9f3f4d04" # Read directory data的权限ID
  resource_id    = azuread_application.app.id
}

不过注意：这种方式需要你的Terraform执行账号本身具备授予权限的资格，否则还是得手动完成同意。

2. 验证权限是否正确生效 #

完成同意后，可以用Azure CLI验证服务主体的权限是否已配置：

az ad sp show --id <你的服务主体ID> --query "appRoleAssignments"

检查返回结果中是否包含Read directory data对应的权限ID（5778995a-e1bf-45b8-affa-663a9f3f4d04）。

3. 确认Terraform使用的服务主体身份正确 #

确保Terraform执行时使用的服务主体就是你配置了权限的那个：

• 检查环境变量（比如ARM_CLIENT_ID、ARM_TENANT_ID）是否正确对应你的目标服务主体
• 或者确认Terraform provider配置里的client_id等参数没有写错

额外建议：考虑切换到Microsoft Graph API #

AAD Graph已经被官方弃用，Terraform的azuread provider现在也支持使用Microsoft Graph进行操作。如果后续有机会，可以迁移到Microsoft Graph，对应的权限配置会有所不同（比如使用User.Read.All或Group.Read.All权限），长期来看更稳定。

内容的提问来源于stack exchange，提问作者mark